정보보안기사 학습 문제 34 — 개인정보 안전조치·접속기록·웹 인증
이번 글의 세 문항은 공개 기출문제의 원문을 재현하지 않은 창작 문제다. 정답과 해설은 게시 시점에 확인한 국가법령정보센터와 KISA 공식 자료를 근거로 작성했다.
문제 1 — 접속기록 보관기간
문제
「개인정보의 안전성 확보조치 기준」에 관한 설명으로 옳은 것은?
선택지
- 개인정보처리시스템 접속기록은 어떤 경우에도 1개월만 보관하면 된다.
- 접속기록은 원칙적으로 1년 이상 보관·관리하며, 일정한 고위험 처리시스템은 2년 이상 보관 대상이 될 수 있다.
- 접속기록은 사고가 발생한 경우에만 사후 작성하면 된다.
- 접속기록은 위·변조 방지를 고려하지 않아도 된다.
정답
2번
해설
국가법령정보센터의 현행 기준 제8조는 개인정보처리시스템 접속기록을 1년 이상 보관·관리하도록 하고, 5만 명 이상의 정보주체 개인정보를 처리하거나 고유식별정보·민감정보를 처리하는 시스템 등은 2년 이상 보관하도록 정한다. 또한 접속기록의 안전한 보관과 점검이 요구된다. [1]
오답 포인트
접속기록은 장애나 침해사고 뒤에 기억으로 만드는 문서가 아니라 처리행위를 추적하기 위한 전자적 기록이다. 보관기간뿐 아니라 위·변조·도난·분실 방지까지 함께 확인해야 한다. [1]
출처 또는 검증 근거
[1] 국가법령정보센터, 「개인정보의 안전성 확보조치 기준」 제8조, https://www.law.go.kr/LSW/admRulSideInfoP.do?admRulSeq=2100000281400&chrClsCd=010201&dashNo=&docCls=jo&joBrNo=00&joNo=0008&urlMode=admRulScJoRltInfoR
문제 2 — 개인정보 보호법상 안전조치
문제
「개인정보 보호법」 제29조의 안전조치의무에 대한 설명으로 가장 적절한 것은?
선택지
- 개인정보처리자는 개인정보 보호를 위해 기술적 조치만 하면 된다.
- 내부 관리계획, 접속기록 보관 등을 포함해 기술적·관리적·물리적 조치를 해야 한다.
- 개인정보를 처리하는 외부 수탁자는 안전조치 의무와 무관하다.
- 안전조치는 유출사고가 확인된 뒤에만 마련하면 된다.
정답
2번
해설
개인정보 보호법 제29조는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 내부 관리계획 수립, 접속기록 보관 등 대통령령이 정하는 기술적·관리적·물리적 조치를 하도록 규정한다. 이는 사고 후 대응만이 아니라 예방적 안전성 확보 의무다. [2]
오답 포인트
법규상 안전조치는 특정 보안제품 하나를 설치하는 의미가 아니다. 조직의 관리체계, 접근통제와 인증, 암호화, 기록 보관 및 물리적 보호를 위험에 맞게 함께 운영해야 한다. [2]
출처 또는 검증 근거
[2] 국가법령정보센터, 「개인정보 보호법」 제29조, https://www.law.go.kr/법령/개인정보%20보호법/제29조
문제 3 — 웹 인증 결과의 무결성
문제
KISA 본인확인서비스 취약점 자체점검 자료의 취지에 부합하는 웹 애플리케이션 통제는?
선택지
- 브라우저가 전달한 본인확인 결과를 서버가 검증 없이 신뢰한다.
- 본인확인 결과의 위·변조를 막기 위해 서버 측 검증과 가맹점 고유 키 등 보호수단을 적용한다.
- 관리자 URL을 예측하기 쉽게 공개해 운영 편의성을 높인다.
- 중요 페이지의 세션 검증은 로그인 직후 한 번만 수행한다.
정답
2번
해설
KISA 점검 자료는 본인확인 완료 후 결과정보가 이용자를 거쳐 전달되는 과정에서 중요정보가 노출·위변조될 수 있음을 설명하고, 가맹점 고유 키 등록과 암호키 갱신, 중요 데이터 접근권한 강화 등 대응을 제시한다. 따라서 클라이언트가 전달한 값을 무조건 신뢰하지 말고 서버 측에서 무결성과 업무 흐름을 검증해야 한다. [3]
오답 포인트
인증 완료 화면을 보았다는 사실과 서버가 검증 가능한 인증 결과를 받았다는 사실은 다르다. 또한 관리자·중요 페이지는 페이지별 세션 및 권한 검증이 필요하며 URL 은닉만으로 접근통제를 대신할 수 없다. [3]
출처 또는 검증 근거
[3] 한국인터넷진흥원, 「본인확인서비스 이용기관 취약점 자체점검 체크리스트」, https://identity.kisa.or.kr/web/main/file/download/uu/4b09e2c3f5f544f9a37ba401ec8153c5